| 用途 | 确认高权限会话 |
|---|---|
| 字段 | SubjectUserName / PrivilegeList |
配对查看
配对查看
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4672,4624} -MaxEvents 40 |
Select-Object TimeCreated, Id, Message | Format-List系统账号（SYSTEM）也会产生 4672，筛选真实用户名。
特权登录事件（4672）说明
4672 在管理员级登录时记录分配的特权列表：与 4624 成对出现，用于确认该会话是否拥有高权限。
易错点
- 4672 多不等于入侵，先按用户名与时间窗聚合
- 服务账号频繁出现属正常基线的一部分
数据来源与参考
- Microsoft Docs（4672 事件文档）